Während des regulären Betriebs sieht ein Beobachter eine 16-Bit-Kurzadresse, die absichtlich nicht eindeutig einem Gerät zugeordnet ist. Sie dient lediglich als Hinweis, den das Netzwerk verwendet, um einzugrenzen, welcher Schlüssel ausprobiert werden soll, nicht als zuverlässige Kennung von außen. Die einzige Ausnahme ist die Verbindungsanfrage selbst, die unverschlüsselt gesendet wird und die vollständige, global eindeutige Kennung des Geräts enthält, allerdings nur einmal pro Verbindungsaufbau, nicht kontinuierlich. Der Nutzlastinhalt bleibt auf der Netzwerkebene stets verschlüsselt und zusätzlich auf der Anwendungsebene, sofern diese aktiviert ist. Wie bei jedem Funksystem kann ein Beobachter feststellen, dass eine Übertragung stattgefunden hat und ungefähr wann.